NotificationX: Nicht authentifizierte SQL Injection im REST-Endpunkt

Zusammenfassung

Das Plugin NotificationX für WordPress in den Versionen 2.0.0 bis vor 2.3.12 enthält eine nicht authentifizierte SQL Injection im REST-Pfad /wp-json/notificationx/v1/notification/{id}. Ein entfernter Angreifer kann einen manipulierten, als Array übergebenen Parameter 'id' zusammen mit einem aus der Site-URL abgeleiteten api_key senden. So lassen sich Datenbankabfragen manipulieren und Datenbankinhalte auslesen. Es ist kein Login erforderlich, und die Schwachstelle ist auf jeder betroffenen Site aus dem Internet erreichbar.

Betroffen

• NotificationX (WPDeveloper) Versionen 2.0.0 bis vor 2.3.12

Behoben in

• Behoben in Version 2.3.12
• Das Changelog auf WordPress.org listet aktuelle Versionen im 3.x-Zweig (zum Beispiel 3.3.4). Die Kompatibilität von 3.x mit Ihren Sites ist nicht verifiziert.

Umgehung

Unbekannt.

Ausnutzung

• CISA KEV: Gemäss den geprüften Trackern nicht gelistet. Der CISA-Katalog wurde nicht direkt geprüft.
• Das Advisory-Verzeichnis von VulnCheck zeigt für diese CVE ein VulnCheck-KEV-Label. Dies ist der eigene Katalog von VulnCheck, nicht jener der CISA.
• Die CVE-Beschreibung gibt an, dass die Shadowserver Foundation die Ausnutzung erstmals am 18.10.2023 beobachtet hat. Dies wurde nicht durch eine unabhängige Quelle bestätigt.
• Ein öffentlich verfügbares nuclei-Erkennungstemplate existiert. Öffentlicher Exploit-Code für diese CVE ist unbekannt.

Unsere Empfehlung

• Alle WordPress-Sites und Plugin-Versionen inventarisieren.
• NotificationX auf das aktuelle 3.x-Release aktualisieren, wo möglich zuerst testen.
• Sites, die nicht zeitnah aktualisiert werden können, sollten das Plugin entfernen, sofern es nicht benötigt wird.
• Web-Server- und WordPress-Logs auf ungewöhnliche Anfragen an den REST-Endpunkt für Benachrichtigungen prüfen sowie auf Datenbankänderungen oder neue Administratorkonten kontrollieren.
• Datenbank- und Administratorzugangsdaten auf allen betroffenen Sites rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Nuclei template notificationx-sqli.yaml github.com
• NotificationX on WordPress.org wordpress.org
• WPScan vulnerability d1480717 wpscan.com
• VulnCheck advisory NotificationX 2.3.12 www.vulncheck.com
• Patchstack NotificationX vulnerabilities patchstack.com
• Strix CVE-2022-51021 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:00.